Los hackers ocultaron la puerta trasera «Vasilek» en VMware Tools durante una intrusión de dos años en el sector sanitario ruso

Un grupo de ata­can­tes vin­cu­la­do a Bie­lo­rru­sia, iden­ti­fi­ca­do como Par­ti­san Zmiy o Cyber Par­ti­sans, man­tu­vo ac­ce­so a la red de una or­ga­ni­za­ción de salud rusa du­ran­te apro­xi­ma­da­men­te dos años. Aun­que la in­tru­sión se de­tec­tó en una fecha re­cien­te, los in­di­cios apun­tan a que co­men­zó a prin­ci­pios de un año pre­vio. Los ata­can­tes em­plea­ron la puer­ta tra­se­ra lla­ma­da Va­si­lek, la cual uti­li­za una pla­ta­for­ma de men­sa­je­ría para el con­trol y la ex­fil­tra­ción de datos. A di­fe­ren­cia de sus ope­ra­cio­nes ha­bi­tua­les, en esta oca­sión los ac­to­res ma­li­cio­sos no rea­li­za­ron ac­cio­nes des­truc­ti­vas, lo que su­gie­re que prio­ri­za­ron el es­pio­na­je y el apro­ve­cha­mien­to de las re­la­cio­nes de con­fian­za de la in­fra­es­truc­tu­ra afec­ta­da.

Para man­te­ner la per­sis­ten­cia y eva­dir la de­tec­ción, los agre­so­res ocul­ta­ron un ser­vi­cio de carga en un di­rec­to­rio le­gí­ti­mo y no su­per­vi­sa­do de VM­wa­re Tools, sus­ti­tu­yen­do com­po­nen­tes le­gí­ti­mos por ver­sio­nes ma­li­cio­sas o co­lo­can­do eje­cu­ta­bles den­tro de la misma ruta. Esta he­rra­mien­ta se en­car­ga de ini­ciar un túnel y de eje­cu­tar una ver­sión ac­tua­li­za­da de Va­si­lek, la cual cuen­ta con múl­ti­ples fun­cio­nes como la re­co­pi­la­ción de in­for­ma­ción del equi­po, eje­cu­ción de co­man­dos, trans­fe­ren­cia de ar­chi­vos, cap­tu­ra de pan­ta­lla, re­gis­tro de pul­sa­cio­nes de te­clas y una nueva orden para si­mu­lar el mo­vi­mien­to del cur­sor. Asi­mis­mo, el grupo prio­ri­zó la se­gu­ri­dad ope­ra­ti­va y el si­gi­lo me­dian­te di­ver­sas téc­ni­cas, a pesar de que las res­tric­cio­nes lo­ca­les de la red di­fi­cul­ta­ban la co­mu­ni­ca­ción de la puer­ta tra­se­ra con su cen­tro de con­trol.